.NET Core多应用共享Identity Cookie跳转登录页不存在及Cookie结构问题

你遇到的跳转登录页问题是因为缺少3项核心配置，导致第二个应用无法解密共享Cookie、识别登录态：

• 数据保护密钥共享配置缺失：ASP.NET Core的身份Cookie默认会用当前应用独有的数据保护密钥加密，两个应用密钥不一致时，第二个应用无法解密第一个应用签发的Cookie，会判定用户未登录，触发跳转逻辑。你需要给两个应用配置相同的密钥存储，示例配置：

// 两个应用都要加这段配置，密钥存储路径要指向同一个可访问的目录，也可以用其他统一存储方案
services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\shared-keys\"))
    .SetApplicationName("SharedCookieApp"); // 两个应用的ApplicationName必须完全一致

• Cookie域名配置缺失：如果两个应用部署在不同子域名下（比如app1.xxx.com和app2.xxx.com），需要显式配置Cookie的根域名，保证Cookie可以被两个应用同时读取：

// 两个应用的Cookie配置里都加这行
options.Cookie.Domain = ".xxx.com"; // 替换为你自己的根域名

• 未适配无身份页的跳转逻辑：第二个应用没有搭建Identity的登录页，默认未登录时会自动跳转到/Account/Login，你可以根据场景修改跳转逻辑，如果是API接口，直接返回401即可：

// 第二个应用的AddCookie配置里加这段
options.Events.OnRedirectToLogin = context =>
{
    if (context.Request.Path.StartsWithSegments("/api"))
    {
        context.Response.StatusCode = StatusCodes.Status401Unauthorized;
        return Task.CompletedTask;
    }
    // 若有独立前端登录页可修改为前端地址，按需调整即可
    context.Response.Redirect(context.RedirectUri);
    return Task.CompletedTask;
};

• SharedCookie不是随机字符串，它是经过ASP.NET Core数据保护栈加密、Base64Url编码后的身份票据，票据内包含用户的所有Claims（用户ID、用户名、角色等）、Cookie过期时间、签发方信息等完整身份元数据。
• 可以提取到用户ID这类信息，只要你完成了上述共享配置，框架会自动完成Cookie解密和身份填充，你在受保护的接口中直接通过HttpContext.User.FindFirstValue(ClaimTypes.NameIdentifier)即可拿到用户ID，不需要手动解析Cookie字符串。

内容的提问来源于stack exchange，提问作者A. Gladkiy